Para jurídico, compliance e encarregados (DPO)
A lei pede medidastécnicas. O jurídicoprecisa de evidência.
Comunicar um incidente à ANPD em três dias úteis exige saber causa, data e dados afetados. Isso depende de registros técnicos.
BitdefenderParceiro oficial
Resposta rápida
Atualizado em 15 de outubro de 2026
A LGPD (art. 46) exige medidas técnicas e administrativas aptas a proteger dados pessoais, e a Resolução CD/ANPD nº 15/2024 exige comunicar incidentes relevantes em 3 dias úteis, com causa principal, data, dados afetados e medidas adotadas antes e depois, além de registrar todo incidente por 5 anos. Proteção de endpoints com EDR gera os registros que permitem cumprir essas exigências. Nenhuma ferramenta garante conformidade sozinha.
01 / Exigência × evidência
O que a norma pede e onde está a prova
| Exigência | Norma | Evidência técnica |
|---|---|---|
| Medidas técnicas aptas | LGPD, art. 46 | Relatórios de cobertura e políticas do console |
| Comunicação de incidente relevante | LGPD, art. 48; Res. ANPD 15/2024, art. 4º | Alerta e linha do tempo do incidente |
| Causa principal e data | Res. ANPD 15/2024, art. 6º, §2º | Investigação do EDR (origem e propagação) |
| Medidas antes e depois | Res. ANPD 15/2024, art. 6º, §2º | Histórico de políticas e ações de resposta |
| Registro por 5 anos | Res. ANPD 15/2024, art. 10 | Exportação de relatórios e retenção de dados |
Resumo informativo; não substitui orientação jurídica.
02 / Contratos e governança
Pontos para o jurídico revisar
- Papel de cada parte (controlador e operador) nos serviços de TI e segurança
- Cláusulas de confidencialidade e de tratamento de dados com fornecedores
- Roteiro de resposta a incidentes com responsáveis e prazos
- Canal e responsável pela comunicação à ANPD (encarregado)
- Retenção de registros de incidentes pelo prazo mínimo
- Condições de suporte, renovação e saída descritas por escrito
Fale com um especialista
Quer saber se a sua empresa está protegida?
Diagnóstico gratuito, sem compromisso. Retorno em até 24 horas úteis.
03 / Exposição pública
Quando o incidente vira fato relevante
JBS (operações nos EUA e Austrália)
Junho de 2021
Ataque de ransomware atribuído pelo FBI ao grupo REvil interrompeu o abate de bovinos nas plantas dos EUA por um dia. A JBS USA informou ter pago o equivalente a US$ 11 milhões para evitar novas interrupções.
Lição: Mesmo com a operação quase normalizada, a empresa pagou para reduzir o risco de novos problemas: o custo da incerteza é alto.
Fonte: IndustryWeekLojas Renner (Brasil)
Agosto de 2021
A varejista comunicou à CVM um ataque criminoso ao seu ambiente de TI que tirou sistemas do ar; o Procon-SP notificou a empresa. A Renner informou que não negociou nem pagou resgate e que os principais bancos de dados foram preservados.
Lição: Ataque a empresa de capital aberto vira fato relevante, notificação de órgão de defesa do consumidor e manchete no mesmo dia.
Fonte: Baguete
04 / Continue lendo
Para os outros decisores e setores
- Segurança e LGPDO que a LGPD exige de segurança técnica, prazos de incidente da ANPD e como comprovar controles.
- Escritórios de advocaciaSigilo profissional, LGPD e evidência de incidentes com EDR para escritórios de advocacia.
- Para a diretoriaRisco cibernético em linguagem de negócio: continuidade, reputação e custo de um incidente.
- LGPD e antivírus corporativo: o que a lei exige de segurançaA LGPD não cita ferramentas, mas exige medidas técnicas e comunicação de incidentes em 3 dias úteis. Veja o que isso significa na prática.
05 / Perguntas frequentes
Perguntas frequentes
A LGPD obriga a ter EDR?
A LGPD não cita ferramentas. Ela exige medidas técnicas aptas e, em caso de incidente relevante, uma comunicação com causa, data e dados afetados. O EDR é a forma técnica de produzir essas informações.
Em quanto tempo o incidente deve ser comunicado?
Em 3 dias úteis a partir do conhecimento de que dados pessoais foram afetados, com possibilidade de complementar em até 20 dias úteis (Resolução CD/ANPD nº 15/2024).
Todo incidente precisa ser registrado?
Sim. Mesmo os não comunicados devem ser registrados e guardados por no mínimo 5 anos (art. 10).
Quais dados tornam o incidente de risco relevante?
Dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação, protegidos por sigilo legal, judicial ou profissional, ou em larga escala, quando o incidente puder afetar significativamente os titulares.
Qual a multa prevista na LGPD?
Entre outras sanções, multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração (art. 52).
Contato
Diagnóstico de controles técnicos para a LGPD
Mapeamos os controles e as evidências que existem hoje. Sem custo.
- [email protected]
- Telefone e WhatsApp
- (31) 3191-0305
- Atendimento
- Segunda a sexta, 8h às 20h
Fontes
Revisado em 15 de outubro de 2026
- [1]Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD) — Presidência da República
- [2]Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança — Diário Oficial da União / ANPD, 26/04/2024
- [3]Comunicado de Incidente de Segurança (CIS) — canal oficial da ANPD — ANPD
- [4]Meatpacking Giant JBS Says Paid $11 Million to Hackers in Ransomware Attack — IndustryWeek, 10/06/2021
- [5]Lojas Renner: "não pagamos hackers" — Baguete, 08/2021